漏洞概要 漏洞名称: TYPO3-EXT-SA-2026-024: Multiple vulnerabilities in extension "femanager" (femanager) 发布日期: 2026年8月25日 漏洞类型: 权限绕过与信息泄露 受影响版本: 6.4.4 及以下版本、7.0.0 至 7.5.4、8.0.0 至 8.4.1、13.0.0 至 13.3.4 严重程度: 高 参考链接: CVE-2026-77133, CVE-2026-77134, CVE-2026-77135, CVE-2026-77146, CWE-862, CWE-693, CWE-639 影响范围 组件类型: 第三方扩展，不属于 TYPO3 默认安装组成部分 组件名称: "femanager" (femanager) Composer 包名称: in2code/femanager 漏洞描述: - 该扩展未限制前端用户组，导致已登录用户可将权限提升至任意前端用户组。 - 该扩展在处理管理员确认令牌时未强制要求专用管理员确认令牌，使得未授权用户可通过公共的重新发送确认操作自行批准待处理账户。 - 该扩展的用户详情视图未验证所请求的用户记录是否与配置或登录目标匹配，允许任意访问者通过详情或列表插件获取其他前端用户的个人资料数据。 - 该扩展的邀请控制器在重定向至无效输入时未停止处理，允许未授权攻击者设置新密码并重新激活任意现存的前端用户账户。 修复方案 更新版本: 6.4.5, 7.5.5, 8.4.2, 13.3.5 下载链接: - https://extensions.typo3.org/extension/download/femanager/6.4.5.zip - https://extensions.typo3.org/extension/download/femanager/7.5.5.zip - https://extensions.typo3.org/extension/download/femanager/8.4.2.zip - https://extensions.typo3.org/extension/download/femanager/13.3.5.zip 建议: 用户应尽快更新扩展。 致谢 报告者: Arpit Jain (CVE-2026-77135)、Seungbin Yang 和 Miguel Segovia Gil (CVE-2026-77134)、Seungbin Yang (CVE-2026-77133)、Steffen Keuper (CVE-2026-77146) 更新版本提供者: in2code 一般建议 请遵循 TYPO3 安全指南 中的建议。